Datenschutz: Teures Lizenz-Desaster in Hannover
Weil sie offenbar vergessen hat, die für den Schulbereich notwendige verschärfte Datenschutzvereinbarung zu integrieren, muss die Stadt Hannover rund 60.000 frisch erworbene Education-Lizenzen für Microsoft 365 sperren. Der Schaden soll bei rund 325.000 Euro liegen.
Während immer mehr öffentliche Einrichtungen und Unternehmen nach größerer Unabhängigkeit von US-Herstellern streben, geht die Stadt Hannover genau den entgegengesetzten Weg und will im Schulbereich auf breiter Front Microsoft 365 einführen. Das soll den Verantwortlichen zufolge sicherstellen, dass die Schülerinnen und Schüler die notwendigen Fähigkeiten im Umgang mit denjenigen Programmen erwerben, die sie später zumeist auch im Arbeitsleben nutzen. Laut der Hannoverschen Allgemeinen Zeitung geht es bei dem Projekt um etwa 60.000 Education-Lizenzen im Wert von knapp 325.000 Euro.
Nicht nur im Sinne der digitalen Souveränität hat sich Hannover damit jedoch selbst ein sprichwörtliches Ei gelegt und könnte dadurch nun gezwungen werden, das Geld abzuschreiben. Denn wie die Verwaltung einräumt, "stoppt die Landeshauptstadt Hannover die Nutzung von Microsoft 365 an Schulen, bis eine rechtssichere und tragfähige Grundlage geschaffen ist". Die 100 Schulen, an denen bereits erste Lizenzen ausgerollt wurden, haben damit keinen Zugriff auf die mit den Lizenzen verbundenen MS365-Lösungen wie Office und die damit erstellten Daten mehr, der weitere Rollout wurde gestoppt. "Die Anwendungen werden vorerst deaktiviert. Auf die Daten kann ab Dienstag, den 21.04.2026, ab 18:00 Uhr nicht mehr zugegriffen werden", so die Stadtverwaltung.
Konkret geht es bei dem Lizenzproblem um das Abkommen zur Datenverarbeitung, das unter anderem vorgibt, wo Daten gespeichert werden dürfen und wer auf sie zugreifen und sie für welche Zwecke verarbeiten darf. "Die bislang verwendete vertragliche Grundlage für den Einsatz von Microsoft 365 an Schulen reicht nicht aus", erklärt die Stadt. "Für einen rechtssicheren Betrieb ist neben dem bestehenden sogenannten Data Processing Agreement (DPA) eine ergänzende Vereinbarung erforderlich, die die besonderen Anforderungen im schulischen Kontext abdeckt. Eine solche Regelung liegt derzeit nicht vor." Offensichtlich wurde das bei der Beschaffung vergessen und stattdessen nur das Standard-DPA verwendet.
Vermeidbarer Fehler
Ein durchaus vermeidbarer Fehler, der eigentlich bei einer eingehenden datenschutzrechtlichen Überprüfung und Folgeabschätzung, wie sie gerade in einem so sensiblen Umfeld Standard sein sollte, schon vor dem Kauf hätte auffallen müssen. Dem Bericht zufolge fand diese Evaluierung jedoch erst nach dem Einkauf statt, sodass sich der Datenschutzbeauftragte am Ende gezwungen sah, die Notbremse zu ziehen. "Die Entscheidung wurde auf Grundlage der aktuellen fachlichen Bewertung getroffen", laviert die Stadt herum und erklärt, sie "prüft derzeit intern, wie es zu der fehlerhaften Einschätzung kommen konnte". Die zuständige Dezernentin Eva Bender versichert: "Wir werden im Einzelnen aufarbeiten, wie es zu der falschen Einschätzung der vertraglichen Grundlage kommen konnte und dafür sorgen, dass sich ein solcher Fehler nicht wiederholt."
Fragen, die der Stadt manch versierter Lizenzberater aus dem Channel wohl innerhalb weniger Minuten und deutlich günstiger beantworten könnte. Nun sieht es jedoch ganz so aus, als müsste die Verwaltung die Lizenzen noch einmal neu bestellen – und diesmal hoffentlich die Datenschutzfolgeabschätzung rechtzeitig vor dem Kauf durchführen. Bei Bedarf stünden dafür genügend Experten bereit, die sich sowohl bestens mit den komplexen Lizenzbedingungen als auch mit den speziellen Datenschutzanforderungen im Schul-Umfeld auskennen.
Bis es so weit ist, müssen die Lehrer, Schüler und Eltern die wichtigsten Daten, Dateien und andere Funktionen wie Gruppen in anderen Lösungen neu anlegen, soweit ihnen das möglich ist. Dementsprechend muss sich neben den Beschaffungsgremien wohl auch die von der Stadtverwaltung eingerichtete "zentrale Anlaufstelle für Schulen über das Ticketsystem" wohl auf ein paar äußerst arbeitsreiche Wochen einrichten.
CRN-Newsletter beziehen und Archiv nutzen - kostenlos: Jetzt bei der CRN Community anmelden